Segurança na Cal.com
Certificada em ISO 27001, SOC 2 Type II, HIPAA, GDPR e CCPA, com documentos que comprovam isso.
Conformidade
Acesse documentos de conformidade, certificações e acordos de proteção de dados
Como mantemos tudo assim
Como uma empresa que conquistou as certificações ISO 27001, SOC 2 Type II, CCPA, GDPR e HIPAA, entendemos a importância crítica da segurança da informação no cenário digital de hoje. A frequência e a sofisticação cada vez maiores dos ataques cibernéticos mostram a necessidade de as empresas priorizarem a segurança para proteger seus dados e garantir a confiança de seus clientes. Ao implementar medidas de segurança e boas práticas padrão do setor, demonstramos nosso compromisso inabalável com a proteção de informações sensíveis e a preservação da integridade das nossas operações. Temos orgulho dos protocolos de segurança rigorosos que mantemos e nos dedicamos a preservar os mais altos padrões de excelência em segurança.
Como isso foi alcançado?
Como organização, entendemos a importância de manter a conformidade com práticas e padrões de segurança. Por isso usamos plataformas de automação de segurança e conformidade para garantir que permaneçamos continuamente em conformidade e sigamos os protocolos de segurança relevantes.
Temos uma plataforma centralizada que automatiza a avaliação e o monitoramento de vários controles e procedimentos de segurança. Ao se integrar aos nossos sistemas e ferramentas existentes, nossas plataformas nos oferecem uma visão abrangente da nossa postura de segurança, identificando possíveis problemas e garantindo que estejamos sempre em dia com os protocolos de segurança e padrões do setor mais recentes. Isso nos dá a confiança de que seguimos as melhores práticas do setor e oferecemos um ambiente seguro para nossos clientes e stakeholders.
O que acontece se algo sair de conformidade?
Se algo saísse de conformidade, nossa plataforma de automação de conformidade detectaria o problema e nos alertaria imediatamente. Isso nos permitiria agir rapidamente para corrigir o problema e voltar à conformidade. Usando uma plataforma de automação de conformidade como essa, conseguimos acompanhar nossas obrigações de conformidade e tomar medidas proativas para garantir que permaneçamos em conformidade com as práticas e padrões de segurança relevantes. Isso nos dá a confiança de que oferecemos um ambiente seguro para nossos clientes e stakeholders, além de nos ajudar a manter nossa reputação como uma organização confiável e segura.
Procedimentos e controles
Políticas e procedimentos seguros
Políticas e procedimentos de segurança da informação por escrito garantem que a empresa tenha controles documentados e testados para proteger os dados dos clientes e responder de forma eficaz a incidentes de segurança.
Testes de vulnerabilidade e penetração
Testes regulares de vulnerabilidade e penetração ajudam a identificar e corrigir possíveis fraquezas de segurança antes que possam ser exploradas por invasores. A Cal.com passa anualmente por um teste de penetração externo da nossa aplicação web, realizado por terceiros, para identificar quaisquer vulnerabilidades de segurança que possamos ter. Isso nos permite encaminhar esses problemas internamente e corrigi-los imediatamente. Um relatório oficial é criado para a Cal.com, indicando que os problemas encontrados foram corrigidos. Também realizamos testes de penetração internos regularmente. Além disso, usamos varredura automatizada de vulnerabilidades no nosso código e em suas dependências.
Criptografia de dados
A criptografia de dados sensíveis ajuda a garantir que os dados não possam ser acessados ou lidos por partes não autorizadas. Ter nosso banco de dados criptografado permite que os clientes se sintam seguros ao usar nosso produto, pois protege os dados em trânsito e em repouso.
Autenticação multifator
A autenticação multifator ajuda a impedir o acesso não autorizado aos sistemas da empresa, o que pode ajudar a proteger os dados dos clientes contra roubo ou adulteração.
Ciclo de vida de desenvolvimento seguro
A autenticação multifator ajuda a impedir o acesso não autorizado aos sistemas da empresa, o que pode ajudar a proteger os dados dos clientes contra roubo ou adulteração. Todas as alterações na nossa base de código são protegidas por proteção de branches, o que significa que, para enviar uma nova alteração de código para produção, ela precisa ter sido aprovada por outro engenheiro, além de passar por uma série de testes automatizados que verificam problemas de segurança introduzidos pelo código ou por suas dependências, bem como testes de ponta a ponta e outros. Assim, nenhum agente mal-intencionado, interno ou externo à Cal.com, consegue enviar código malicioso devido ao nosso processo seguro de revisão.
Monitoramento
O monitoramento contínuo dos logs de acesso ao sistema e do tráfego de rede ajuda a detectar e responder a possíveis incidentes de segurança, reduzindo a probabilidade de comprometimento dos dados dos clientes.
Treinamento e conscientização de funcionários
Programas regulares de treinamento e conscientização para funcionários ajudam a garantir que eles estejam preparados para lidar com dados de clientes com segurança, reduzindo a probabilidade de erro humano ou vazamentos de dados intencionais. Tornamos isso uma prioridade para que sejam concluídos imediatamente por todos os novos funcionários e anualmente por todos os funcionários existentes.
Controles de acesso e verificações de antecedentes
Controles de acesso e verificações de antecedentes de funcionários, fornecedores terceirizados e prestadores de serviços ajudam a garantir que eles sejam confiáveis e possam lidar com dados de clientes com segurança. Verificações de antecedentes são realizadas em todas as novas contratações que a empresa venha a fazer, como uma forma de a Cal.com ter confiança no funcionário que estamos escolhendo contratar. Além disso, conceder acesso a aplicativos apenas quando necessário é importante para manter a conformidade. A cada trimestre, revisamos o acesso a aplicativos e os níveis de acesso de todos os funcionários para garantir que eles tenham acesso apenas aos aplicativos necessários para desempenhar sua função.
Auditorias e avaliações de terceiros
Auditorias e avaliações regulares de terceiros fornecem uma validação independente da eficácia dos controles e procedimentos de segurança da informação da empresa, dando aos clientes confiança de que seus dados estão sendo tratados com segurança.
Detecção de intrusão
A Cal.com utiliza sistemas de detecção de intrusão para monitorar continuamente nossos sistemas em busca de possíveis ameaças que possam ocorrer a qualquer momento. Saber nos estágios iniciais que uma ameaça pode ser crítica nos permite agir de forma rápida e eficiente para impedir que ameaças causem problemas de curto ou longo prazo.
Divulgação de vulnerabilidades
Na Cal.com, consideramos a segurança dos nossos sistemas uma prioridade máxima. Mas, por mais esforço que coloquemos na segurança dos sistemas, ainda podem existir vulnerabilidades.
Se você descobrir uma vulnerabilidade, gostaríamos de saber para que possamos tomar medidas para corrigi-la o mais rápido possível. Pedimos sua ajuda para proteger melhor nossos clientes e nossos sistemas.
Vulnerabilidades fora do escopo:
- Clickjacking.
- Cross-Site Request Forgery (CSRF)
- Ataques que exigem MITM ou acesso físico ao dispositivo de um usuário.
- Qualquer atividade que possa levar à interrupção do nosso serviço (DoS).
- Problemas de falsificação de conteúdo e injeção de texto sem demonstrar um vetor de ataque/sem conseguir modificar HTML/CSS.
- Falsificação de e-mail SPF
- Cabeçalhos DNSSEC, CAA e CSP ausentes
- Ausência da flag Secure ou HTTP only em cookies não sensíveis
- Links quebrados
- Qualquer coisa relacionada à segurança de DNS ou e-mail
- Limitação de taxa
- XSS (Cross-Site Scripting)
Observação: a Cal.com se reserva o direito de classificar qualquer vulnerabilidade relatada como fora do escopo.
O que fazer e o que não fazer
- Não rode scanners automatizados na nossa infraestrutura ou no nosso painel. Se você quiser fazer isso, entre em contato conosco e criaremos um sandbox para você.
- Não se aproveite da vulnerabilidade ou do problema que você descobriu, por exemplo, baixando mais dados do que o necessário para demonstrar a vulnerabilidade ou excluindo ou modificando dados de outras pessoas,
- Não revele o problema a outras pessoas até que ele tenha sido resolvido,
- Não use ataques contra segurança física, engenharia social, negação de serviço distribuída, spam ou aplicações de terceiros, e
Como relatar uma vulnerabilidade
Você pode relatar vulnerabilidades aqui: https://bugcrowd.com/4f0b96d4-2749-415e-b2d8-6aebde98f211/external/report
No escopo: Cal.com Ambiente de QA
Somente os alvos listados abaixo estão autorizados para testes de segurança: (editado)
| Alvo | URL | Tipo |
|---|---|---|
| Cal.com QA | https://app.cal.qa/ | Teste de site |
| Cal.com QA API | https://api.cal.qa/ | Teste de API |
Você pode criar e usar várias contas de teste no ambiente de QA quando necessário, desde que use apenas contas e dados de teste que você controla.
Depois que recebermos seu envio, pode haver um atraso para responder enquanto nossa equipe faz a triagem do problema.
Forneça informações suficientes para reproduzir o problema, para que possamos resolvê-lo o mais rápido possível. Normalmente, o endereço IP ou a URL do sistema afetado e uma descrição da vulnerabilidade serão suficientes, mas vulnerabilidades complexas podem exigir explicações adicionais.
- Se você seguiu as instruções acima, não tomaremos nenhuma medida legal contra você em relação ao relatório
- Trataremos seu relatório com estrita confidencialidade e não repassaremos seus dados pessoais a terceiros sem sua permissão
- Manteremos você informado sobre o progresso para resolver o problema
- Nas informações públicas sobre o problema reportado, indicaremos seu nome como a pessoa que descobriu o problema (a menos que você queira o contrário)
- Nós nos esforçamos para resolver todos os problemas o mais rápido possível e gostaríamos de ter um papel ativo na publicação final sobre o problema depois que ele for resolvido.